PE_NESHTA.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Hängt eigenen Code an den Anfang der Zieldateien an.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %Windows%\svchost.com → detected as PE_NESHTA.A-O
• %User Temp%\3582-490\{Malware Filename} → clean version of infected file
• %User Temp%\tmp5023.tmp

Fügt die folgenden Prozesse hinzu:

• %User Temp%\3582-490\{Malware Filename}

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Erstellt die folgenden Ordner:

• %User Temp%\3582-490\

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• MutexPolesskayaGlush*.*{\xc2\x90}svchost.com\xc2\x90exefile\shell\open\command\xe2\x80\xb9\xc3\x80 "%1" %*\xc5\x93\xe2\x80\x98@

Andere Systemänderungen

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile\shell\open\
command
(Default) = "%Windows%\svchost.com "%1" %*"

Dateiinfektion

Infiziert die folgenden Dateitypen:

• EXE

Hängt eigenen Code an den Anfang der Zieldateien an.

Vermeidet es, Ordner zu infizieren, die diese Zeichenfolgen enthalten:

• PROGRA~1
• %Windows%
• %Temp%

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %Temp% ist der Windows Ordner für temporäre Dateien, normalerweise C:\Windows\Temp oder C:\WINNT\Temp.)

Vermeidet es, Dateien der folgenden Größe zu infizieren:

• less than 41,472 bytes or greater than 10,000,000 bytes

Dies ist die Erkennung von Trend Micro für Dateien, die mit infiziert wurden:

• PE_NESHTA.A-O

Andere Details

Es macht Folgendes:

• It avoids infecting files from the following drives:
  • CD-ROM
  • A:\
  • B:\